CiliumはREST/HTTP、gRPC、Apache Kafkaなどのアプリケーションプロトコルを保護します。
従来のファイアウォールはネットワーク層やトランスポート層で動作し、特定のポートで実行されるプロトコルに対し、全て許可または拒否のどちらかを行います。
それに対し、Ciliumは個々のアプリケーションプロトコルリクエスト毎に許可または拒否を行うことができます。

現代の分散型アプリケーションは、アプリケーションコンテナのような技術に依存しており、短時間に大量のコンテナが起動します。
そのため、送信元IPアドレスと送信先ポートをフィルタリングする従来のファイアウォールでは、コンテナが起動するたびに全サーバ上のファイアウォールを操作する必要があり、アプリケーションの規模が制限されていました。
このような状況を回避するため、Ciliumは同一のセキュリティポリシーを共有するアプリケーションコンテナのグループにIDを割り当てます。このIDはアプリケーションコンテナから送信される全てのネットワークパケットに関連付けられ、受信ノードでIDの検証を行うことができます。
また、IDの管理はKey-Value storeを通して行われます。

ラベルベースのセキュリティは、クラスタ内部のアクセス制御のために選択されたツールです。
外部サービスとのアクセスを保護するために、イングレスとエグレスの両方で従来のCIDRベースのセキュリティポリシーがサポートされています。これにより、アプリケーションコンテナへのアクセスやアプリケーションコンテナからのアクセスを特定のIP範囲に制限することができます。

複数のクラスタにまたがるレイヤー3ネットワークが全てのアプリケーションコンテナを接続します。IPの割り当てはホストのスコープアロケータを使用することで各ホストがホスト間の調整なしに行うことができるようになっています。
また、以下のマルチノードネットワーキングモデルがサポートされています。

• オーバーレイ
  全てのホストにまたがるカプセル化ベースの仮想ネットワークです。現在、VXLANとGeneveが組み込まれていますが、Linuxでサポートされている全てのカプセル化形式を有効にすることができます。
• ネイティブルーティング
  Linuxホストの通常のルーティングテーブルを使用します。ネットワークにアプリケーションコンテナのIPアドレスをルーティングする機能が必要になります。

Ciliumは、アプリケーションコンテナ間や外部サービスへのトラフィックの分散ロードバランシングを実装しており、kube-proxyのようなコンポーネントを完全に置き換えることが可能です。ロードバランサーは、効率的なハッシュテーブルを使用してeBPFに実装されており、ほぼ無制限に拡張することができます。
North-South型のロードバランシングの場合、CiliumのeBPF実装は最大のパフォーマンスを得るために最適化されており、XDP（eXpress Data Path）に接続でき、負荷分散のオペレーションがソースホスト上で行われない場合はDSR（Direct Server Return）およびMaglev consistent hashingもサポートします。
East-West型のロードバランシングでは、Ciliumは、Linux カーネルのソケット層でサービスからバックエンド変換を効率的に行い、下位層でのパケットごとのNAT操作のオーバーヘッドを回避できます。

Cilium は、ノードから出るコンテナトラフィックに対して、eBPF による効率的な EDT（Earliest Departure Time） ベースのレート制限による帯域幅の管理を実装しています。これにより、帯域幅CNIプラグインで使用されているHTB（Hierarchy Token Bucket）やTBF（Token Bucket Filter）などの従来のアプローチと比較して、アプリケーションの送信テール遅延を大幅に短縮し、マルチキューNICでのロックを回避することができます。

Ciliumでは問題をモニタリングし、トラブルシューティングするためのツールとして以下のようなツールを提供しています。

• メタデータによるイベントモニタリング
  パケットがドロップされたとき、ツールはパケットの送信元と送信先のIPを報告するだけでなく、他の多くの情報の中で送信者と受信者の両方の完全なラベル情報を提供します。
• Prometheus経由のメトリックスエクスポート
  主要なメトリクスはPrometheus経由でエクスポートされ、既存のダッシュボードに統合することができます。
  
• Hubble
  Cilium専用に開発された可観測性を実現するプラットフォームです。サービスの依存関係マップ、運用監視とアラート、フローログに基づくアプリケーションとセキュリティの可視化などを提供します。